La scorsa settimana diversi giornali italiani pubblicano notizie sull'attività dell'Internet Research Agency (IRA), "una fabbrica di troll russa", con circa 400 dipendenti e con sede a San Pietroburgo che ha lo scopo di inquinare il dibattito in Occidente e su un "attacco coordinato" su Twitter nei confronti del Presidente della Repubblica, Sergio Mattarella.

Leggi anche >> Le interferenze russe in Italia: cosa sappiamo

Abbiamo ricostruito quello che è emerso finora delle due questioni non direttamente collegate tra di loro.

I dati pubblicati da FiveThirtyEight sull'attività dei troll russi in America

We just published, to our knowledge, the most complete set of Russian troll tweets available. https://t.co/86jyp569Xm

— FiveThirtyEight (@FiveThirtyEight) August 1, 2018

Il 31 luglio Oliver Roeder pubblica un articolo su FiveThirtyEight in cui dice di essere venuto in possesso di 3 milioni di tweet pubblicati tra febbraio 2012 e maggio 2018 (la stragrande maggioranza dal 2015 al 2017) dalla Internet Research Agency (IRA), un’agenzia di San Pietroburgo, in Russia, che “conduceva una campagna sofisticata e coordinata” per diffondere disinformazione attraverso i social media e inquinare il dibattito riguardo la politica americana. All'inizio di quest'anno, si legge nell’articolo, il Dipartimento di Giustizia statunitense ha accusato 13 cittadini russi dipendenti dell’IRA di interferire nei processi elettorali e politici americani.

I dati sono stati ricavati da due professori della Clemson University, Darren Linvill e Patrick Warren che, usando un software avanzato di tracciamento dei social media, hanno estratto i tweet da migliaia di profili che Twitter ha riconosciuto essere associati all'IRA, e poi condivisi con FiveThirtyEight per renderli disponibili ad altri ricercatori e a un pubblico più ampio: «Finora ci sono solo due cervelli che li osservano. Più cervelli potrebbero trovare Dio-sa-cosa», ha detto Linvill a proposito della sua ricerca. Le loro analisi fanno parte di un working paper, attualmente in fase di revisione (e quindi verifica) di una rivista accademica, dal titolo Troll Factories: The Internet Research Agency and State-Sponsored Agenda Building.

In particolare il documento di Linvill e Warren analizza tutti i tweet pubblicati da profili riconducibili all’IRA tra il 19 giugno 2015 e il 31 dicembre 2017. Ci sono anche alcuni tweet pubblicati al di fuori di questo intervallo di date, scrive Roeder, ma non consentono di analizzare le interconnessioni tra i vari profili in modo esaustivo. Inoltre, nel momento in cui Twitter ha sospeso questi account, ha eliminato anche i loro tweet dalla visualizzazione pubblica.

Linvill e Warren dividono il trolling dell'IRA in cinque categorie o ruoli distinti: Troll destro, Troll sinistro, News Feed, Hashtag Gamer e Fearmonger.

“I troll di destra non fanno altro che parlare di politica tutto il giorno, diffondono messaggi sovranisti e di destra e, dopo la nomination di Trump, hanno sostenuto la sua candidatura alla presidenza degli Stati Uniti”, spiegano i ricercatori nel paper, mentre quelli di sinistra “hanno discusso di identità di genere (ad esempio, #LGBTQ) e religiosa (ad es. #MuslimBan), adottano spesso le personalità degli attivisti di Black Lives Matter, in genere esprimendo sostegno per Bernie Sanders e derisione per Hillary Clinton, chiaramente cercando di dividere il Partito Democratico e abbassare l'affluenza alle urne”. I News Feed sono misteriosi, si presentano come aggregatori di notizie locali, con nomi come @OnlineMemphis e @TodayPittsburgh, e le notizie che linkano sono in genere fondate. Gli Hashtag Gamers sono specializzati nel creare giochi di parole con gli hashtag: molti dei loro tweet sono innocui, ma alcuni sono socialmente divisivi, nello stile dei troll di destra o di sinistra. I Fearmongers (ndr, nella traduzione letterale: “i paurafondai”), relativamente rari nel database, diffondono notizie su una finta crisi, come i tacchini contaminati dalla salmonella nei giorni precedenti il Ringraziamento.

«Analizzare questi dati consente di vedere, di ora in ora, cosa pubblicavano questi account Twitter e osservare la struttura di ciò che l’agenzia stava facendo in quel momento», spiega Linvill. Non è possibile stabilire se quest’azione abbia avuto un effetto o meno sulle elezioni del 2016, ma certamente ha creato scompiglio, scrive Roeder. E, spiegano i due ricercatori, la campagna di disinformazione si è estesa oltre il periodo delle elezioni presidenziali statunitensi. «Ci sono stati più tweet nell’anno successivo alle elezioni che in quello che le ha precedute. Non è solo una questione di elezioni. È un continuo intervento nel dibattito politico in America», spiega Warren.

Questa ricerca, concludono i due docenti nel paper, può essere utilizzata per “analizzare la natura qualitativa dei singoli tweet e fornire una comprensione più dettagliata dell'efficacia di questa campagna nel tempo. Questi dati possono anche essere utilizzati per capire meglio come le tattiche dell'IRA si adattano nel tempo e, analizzando i tweet non inglesi, in contesti diversi”. E se è vero che “i tentativi della Russia di distrarre, dividere e demoralizzare sono stati definiti una forma di guerra politica, (...) questa analisi ha fornito informazioni sui metodi utilizzati dall'IRA per intraprendere questa guerra”.

I troll russi e l'Italia, cosa scrivono Corriere e Repubblica

L'attività dei troll russi, targati IRA, sarebbe stata registrata anche in Italia, riportano Corriere della Sera e Repubblica, partendo dai dati pubblicati da FiveThirtyEight.

Sul Corriere della Sera Federico Fubini scrive che in base a quanto è emerso dai file pubblicati una parte del materiale è in italiano poiché i profili della «fabbrica» russa, negli ultimi anni, hanno rilanciato "con una serie di retweet altri profili noti per essere al centro della conversazione sul social network degli ambienti simpatizzanti con le forze populiste in Italia", come Movimento 5 stelle e Lega.

Il giornalista avverte comunque che, sulla base del materiale disponibile, non si può ipotizzare che il M5S e il partito guidato da Matteo Salvini abbiano ricercato o concordato un sostegno da parte delle fabbriche di troll della Russia, ma aggiunge che "è invece evidente dall’enorme massa di post su Twitter, in parte ancora da decifrare, che da parte dei «troll» si sono voluti sostenere i partiti populisti in Italia. In altri termini, esistono indizi di un tentativo di interferenza esterna a favore dei populisti nella vita politica del nostro Paese".

Fubini fa poi l'esempio di un profilo (non più esistente ora in rete, ma attivo fino alla primavera del 2017) che "sembra al centro" di questa parte dei documenti inerenti l'Italia: "@Elena07617349". Questo account pubblicava ad esempio contenuti contro Barack Obama (in inglese), contro l'area politica intorno a Matteo Renzi o contro gli sbarchi "quando dialogava in italiano con un profilo chiamato «123stoka #iostoconsalvini»".

Giuliano Foschini e Fabio Tonacci su Repubblica, sempre in base a quanto pubblicato dal sito americano, portano un altro esempio di questa attività di troll russi:

Ricordate la storia del figlio dell'ex ministro del Lavoro, Giuliano Poletti, finito nella polemica perché il giornale che dirigeva incassava finanziamenti pubblici? Nel mezzo della bufera spuntò un tweet di Poletti jr che, reagendo alle polemiche, insultava gli italiani. Quel tweet, scoprì il debunker David Puente, era un falso. Un fotomontaggio. Rilanciato da un profilo twitter, "Noemi", che aveva più di 50mila seguaci, quasi tutti simpatizzanti del Movimento 5 Stelle. Un profilo che all'improvviso sparì. Si scopre ora che dietro questa storiella non c' era un buontempone ma una fabbrica di troll russa, la Internet Research Agency (...).

In base a una prima analisi, continuano i due giornalisti, è interessante verificare "come molti di questi profili fake creati a San Pietroburgo interagissero con altissima frequenza con profili di sostenitori della Lega e del Movimento 5 Stelle, come nel caso appunto della bufalara 'Noemi' scoperta da Puente".

L'analisi di Wired e di Repubblica dei tweet pubblicati da FiveThirtyEight

Avete presente la storia dei tweet russi con #FakeNews e propaganda pro @LegaSalvini e @Mov5Stelle? Per @wireditalia ho smazzato i dati e qualcosa non torna..https://t.co/pyU7OlScsI

— Riccardo Saporiti (@sapomnia) August 2, 2018

Riccardo Saporiti, dopo aver scaricato i tweet e aver isolato quelli in italiano (18mila su più di 3 milioni, lo 0,6% del totale), ha analizzato i dati su Wired. Il giornalista mette in evidenza diverse questioni critiche.

Innanzitutto non sempre il tweet compreso nella colonna del database con il valore "italian" è scritto in italiano. Inoltre, su 18mila tweet, 13mila sono retweet, cioè il rilancio di contenuti prodotti da altri. Ad esempio "@Elena07617349", l'account che il Corriere cita come figura cardine, "non compare mai nella colonna che contiene il nome degli autori dei tweet. Appare invece numerose volte nel testo dei cinguettii. Il che significa che questi tweet sono risposte a contenuti da lei pubblicati".

Per provare poi a capire da dove arrivino questi tweet, Saporiti scrive che ci si può affidare alla colonna "region", dove si trova il nome del paese da cui è partito il contenuto: "Ben 12mila, ovvero circa due terzi, arrivano dall’Italia. Altri 4mila dagli Stati Uniti, mentre 2mila hanno origine sconosciuta. E la Russia? Sono appena 4", dei quali solo uno sembra di propaganda russa.

Passando poi ad analizzare i contenuti di questi migliaia di tweet, il giornalista scrive:

(...) Scorrendo il dataset si trovano molti rilanci delle prime pagine del Corriere dello Sport e di Tuttosport. Testate che non si capisce come possano avere a che fare con la propaganda filorussa. C’è anche un tweet dedicato al trailer della settima stagione di Game of Thrones. Diversi anche i retweet di un cinguettio del giornalista di Repubblica Vittorio Zucconi, critico sulla riforma fiscale del presidente Trump. E nei confronti di ogni “fesso che l’ha votato”. Non esattamente una dichiarazione in linea con una Russia che sostiene l’attuale inquilino della Casa bianca.

Infine, Saporiti commenta la tempistica di questi tweet. Per il giornalista di Wired "volendo influenzare le elezioni italiane, ci si aspetterebbe che l’attività dei troll si fosse intensificata a ridosso del voto", mentre in realtà "sono appena tre i tweet presenti nel dataset pubblicati tra il 1° gennaio e il 4 marzo di quest’anno. Due dei quali proprio nel tardo pomeriggio del giorno delle elezioni".

Insomma, tutti questi aspetti non dimostrano che "non esista qualcosa come la propaganda russa a favore dei movimenti populisti e sovranisti italiani", ma che "probabilmente l’eventuale prova dell’esistenza di questi troll e della loro azione nel nostro Paese" non si trova nel dataset pubblicato da FiveThirtyEight.

Renzi, Salvini, Grillo: quanto ne hanno twittato i profili italiani tra i troll russi? Un po' di dati italiani dal megafile di @FiveThirtyEight https://t.co/w4FEvTQS9D via @repubblica cc @ollie

— Marianna Bruschi (@MariannaBruschi) 3 agosto 2018

Il giorno successivo l'articolo di Wired, anche Repubblica pubblica una radiografia dei 18mila tweet in lingua italiana prodotti da 143 profili creati dall'IRA.

In totale i tweet in cui si parlavano di politica sarebbero stati 1898, cioè il 10% del totale. Il quotidiano spiega che in essi in parte si screditava il governo Renzi, si esaltava l'attuale ministro degli Interni, Matteo Salvini, e si amplificavano tweet che riguardavano "il contrasto alle migrazioni, fatti di sangue particolarmente cruenti e sanzioni della Russia".

Sul fatto che questi account retwittassero (in gran parte) o twittassero con frequenza notizie non politiche, Repubblica cita l'opinione di un analista che sta analizzando il dossier: «Questo non deve sorprendere. Perché i profili fake devono comportarsi come quelli 'normali' per non dare nell'occhio e non essere bloccati. Ecco perché si muovono a 360 gradi».

I profili "italiani" hanno pochi follower. Isolando i 5 più produttivi (e si parla sempre di retweet) si vede che non arrivano nemmeno tutti a cento (qui i dati di @FiveThirtyEight @ollie https://t.co/Wd27LUgmCi) https://t.co/UYR41ZTpcx

— Marianna Bruschi (@MariannaBruschi) 2 agosto 2018

L'analisi mostra inoltre come questi account avessero un numero di follower molto basso. Infine, spesso questi profili interagivano con account di simpatizzanti del Movimento 5 Stelle e della Lega.

L'intervista dei quotidiani italiani ai due ricercatori americani

Il 3 agosto Il Messaggero pubblica l'intervista al ricercatore Patrick Warren. Il ricercatore afferma che tramite il loro lavoro «hanno trovato numerosi account italiani» e che sono «sicuri che siano troll russi». Warren specifica però che non può parlare di una strategia italiana di questi account: «Capirne il contesto sta alla vostra intelligence».

Il giorno successivo, Darren Linvill, l'altro ricercatore americano, dichiara al Fatto Quotidiano che «la maggior parte dei tweet italiani arriva a marzo e aprile del 2017 con un altro piccolo picco a settembre e ottobre 2017» e che «è molto difficile stimare il possibile impatto delle operazioni russe su qualsiasi elezione. Stiamo facendo ulteriori analisi per ottenere una risposta migliore, ma dubito che ogni risposta sarà mai certa. Ci sono troppe variabili sconosciute».

L'articolo del Corriere della Sera sull'"attacco coordinato" su Twitter a Mattarella

Le manovre dei russi sul web e l’attacco coordinato a Mattarella: inchiesta del @corriere. Venti account Twitter attivi contro il Capo dello Stato erano già stati contattati in precedenza dai troll di Mosca https://t.co/a9IuaONfHm

— Federico Fubini (@federicofubini) August 3, 2018

In un secondo articolo sempre Federico Fubini sul Corriere della Sera racconta di un'altra questione – non legata direttamente alla vicenda dei profili e tweet emersa dal paper pubblicato da FiveThirtyEight –: un "attacco" su Twitter coordinato nei confronti del Presidente della Repubblica, Sergio Mattarella, dopo la sua decisione a fine maggio di non nominare Paolo Savona come ministro dell'Economia:

Domenica 27 maggio, a partire dal tardo pomeriggio, il capo dello Stato Sergio Mattarella inizia a fare i conti con il lato deteriore dei «social network». Senza che fosse chiaro come e da dove sia partito l’ordine, migliaia di profili di Twitter iniziano improvvisamente a bombardare la Rete con la stessa parola d’ordine: #MattarellaDimettiti. Luigi Di Maio, oggi vicepremier e già leader della prima forza politica del Paese, aveva appena chiesto la messa in stato d’accusa del garante della Costituzione che si era limitato a esercitare le sue prerogative: aveva rifiutato di avallare la scelta di un esponente anti-euro come ministro dell’Economia senza che ciò fosse stato discusso nei programmi elettorali.

Il giornalista scrive che quell'azione collettiva era stata "chiaramente coordinata con cura" e ciò "lo si intuiva dall’attivismo di tanti snodi digitali, molti dei quali anonimi e tutti impegnati a far crescere il più in fretta possibile il rumore di fondo attorno allo slogan prescelto".

Cosa era successo? In base a quanto riporta Marzio Breda, sempre sullo stesso quotidiano, la notte tra il 27 maggio e il 28 maggio scorsi, intorno alle due, su Twitter, "in pochissimi minuti si registrano circa 400 nuovi profili, tutti riconducibili a un’unica origine". Da questi profili iniziano a partire migliaia di messaggi contro Sergio Mattarella chiedendogli di dimettersi. L'hashtag #MattarellaDimettiti era comunque iniziato a girare su Twitter nella mattinata di domenica 27 maggio. In base al lavoro della Polizia Postale si sarebbe stabilito che "la fonte di tutto è una sola". L'indagine però non riesce a stabilire il punto di congiunzione "tra la galassia dei social network e una precisa cabina di regia". Il giornalista scrive che quest'ultima, con alta probabilità, dovrebbe esser stata creata all’estero, "anche se nessuno è in grado di dire se c’entrino gli operatori russi impegnati in azioni di disturbo nella campagna elettorale americana". È utile specificare che in quei giorni migliaia di persone avevano twittato messaggi a sostegno di Mattarella, prevalendo nelle citazioni, secondo l'analisi di DatamediaHub, su quelli che ne chiedevano le dimissioni. Inoltre, su Twitter gli utenti attivi al mese sono circa 7,9 milioni e un milione e mezzo quelli giornalieri.

Fubini racconta però un "dettaglio" che sarebbe sfuggito a tutti e cioè che circa venti (ma probabilmente anche di più) di quegli account Twitter coinvolti nella campagna digitale contro il capo dello Stato e appartenenti a italiani ignari di tutto, avevano una "storia controversa": "Nel passato recente quei profili su Twitter (...) erano stati usati una o più volte dalla Internet Research Agency (Ira) di San Pietroburgo per far filtrare nel nostro Paese la propria propaganda a favore dei partiti populisti, dei sovranisti e degli anti-europei". Ciò significa, spiega il giornalista, che quegli «account» che tempo prima, a loro insaputa, erano stati sollecitati e rilanciati in rete da parte di agenti russi sotto copertura, ora "stavano attaccando Mattarella".

Fubini spiega che è "impossibile sapere se i troll russi, nascosti nella loro «fabbrica dei falsi» a San Pietroburgo, abbiamo avuto un ruolo anche nell’alimentare l’ultima campagna contro il capo dello Stato" perché i dati che potrebbero chiarire tale questione "non sono di dominio pubblico". Di certo invece c'è che alcuni di questi account "erano già stati sollecitati dai russi in modo occulto, dunque a loro insaputa, in casi precedenti", in base al paper dei due ricercatori americani pubblicati da FiveThirtyEight.

L'indagine della Procura di Roma

Su questo "attacco" online a Mattarella esce la notizia che "sarà formalmente aperto dalla Procura di Roma (...) un fascicolo d’indagine". L’inchiesta, affidata al pool di magistrati che si occupa dell’antiterrorismo, ipotizza i reati di attentato alla libertà del presidente della Repubblica e offesa all'onore e al prestigio del Capo dello Stato. Nell'elenco dei reati ipotizzati c'è anche la «sostituzione di persona», poiché i primi accertamenti effettuati dalla polizia postale avrebbero dimostrato che tutti i profili utilizzati erano falsi e servivano a schermare l’autore dell’assalto.

Fiorella Sarzanini sul Corriere della Sera scrive che, in attesa delle indagini dell'antiterrosimo, "le verifiche effettuate nelle scorse settimane da investigatori e intelligence avrebbero consentito di acquisire alcuni elementi preziosi per individuare chi aveva deciso di scagliarsi contro il capo dello Stato":

I falsi profili utilizzati su Twitter risultano essere stati creati da server esteri, in particolare estoni e israeliani. Ma questo non vuol dire che siano partiti da quegli Stati. Anzi. È verosimile che gli account generati probabilmente da un’unica fonte, siano stati aperti in Italia e che il rimando a quei Paesi servisse esclusivamente a confondere. Dunque una strategia sofisticata e condotta da esperti per impedire che si arrivasse a chi ha pianificato l’operazione. Una prima analisi confermerebbe che il primo segnale proveniva da una regione settentrionale.

La giornalista racconta anche che nei giorni successivi il 27 maggio alla Procura di Roma erano state depositate diverse denunce per chiedere l’apertura di un’inchiesta contro Mattarella per alto tradimento, dopo la rinuncia alla nomina di Savona. Si trattava di esposti che riprendevano esplicitamente le dichiarazioni di Luigi Di Maio, di molti esponenti di primo piano del Movimento, ma anche della leader di Fratelli d’Italia, Giorgia Meloni, su una possibile richiesta di messa in stato di accusa al Parlamento di Mattarella (azione poi non realizzatasi).

Il compito della Polizia Postale sarà quindi quello "di ricostruire quanto accaduto, rintracciare gli account, individuare i server. E così dare un’identità a chi ha compiuto un atto ritenuto eversivo proprio perché prende di mira la più alta carica dello Stato. L’esito di queste verifiche sarà poi incrociato con l’identità di chi ha presentato le denunce proprio per scoprire se ci sia stata un’unica regia dietro l’attacco che mirava a indebolire il Quirinale". Al momento, comunque, conclude Sarzanini, "sembra esclusa la possibilità che dietro questo attacco ci siano account russi".

Secondo quanto riporta Repubblica, infine, l'indagine poi non si concentrerà solo sul "caso Mattarella" ma anche sull'attività in Italia dell'IRA, in quanto nei prossimi giorni la Polizia postale acquisirà il database con i 3 milioni di tweet estratti e analizzati dall'Fbi.

L'audizione al Copasir del direttore del Dis

Lunedì 6 agosto, sempre sul Corriere della Sera, viene pubblicato un articolo di Sarzanini in cui si spiega che nell'audizione al Copasir (Comitato parlamentare di controllo sui servizi segreti) del direttore del Dipartimento delle informazioni per la sicurezza (DIS) Alessandro Pansa, prevista da tempo, è stato ampliato, dopo richiesta del Partito Democratico, l'ordine del giorno per affrontare quest'ultime vicende:

Al Parlamento il capo dell’intelligence consegnerà un dossier che ricostruisce quanto accaduto la notte tra il 27 e il 28 maggio. Evidenziando come quel bombardamento di tweet non abbia nulla a che fare con il Russiagate, cioè con i troll di Mosca che sarebbero stati utilizzati per influenzare la campagna negli Stati Uniti che ha portato all’elezione di Donald Trump. Del resto la prima traccia utile trovata dagli specialisti avvalora la possibilità che a generare l’operazione sia stato un account creato sullo «snodo dati» di Milano.

In base a quanto ricostruito dalla giornalista del Corriere, "il primo profilo sarebbe stato creato con un’iscrizione avvenuta in Italia — quella dello «snodo dati» che si trova a Milano — ma in maniera schermata in modo da far figurare che provenisse dall’estero". Mentre i server stranieri (in Estonia o in Israele) sarebbero stati utilizzati per gli altri account (almeno 150 nei primi minuti). Secondo gli investigatori dietro ci sarebbe stata un’unica mano, "quasi certamente una società specializzata in questo tipo di attività".

Al termine dell'audizione al Cosapir, le agenzie stampa pubblicano la notizia che Pansa, che non avrebbe fornito alcun dossier ai commissari, ha riferito che sugli attacchi online al Capo dello Stato “sono in corso i necessari approfondimenti da parte delle strutture specializzate della nostra intelligence” e “al momento non è possibile formulare conclusioni”. L'Ansa scrive che gli 007 hanno in sostanza ribadito che si tratta di un lavoro molto lungo poiché sono centinaia i profili che vanno ricercati (molti dei quali sono stati cancellati): "Uno screening complesso che non ha ancora consentito di accertare l'origine dell'attacco. Al momento dunque, non sono emerse ancora 'evidenze' sulla matrice. Fermo restando, ha ricordato ai commissari Pansa, che sia in occasione del referendum del dicembre 2016 sia per le elezioni del 4 marzo l'intelligence aveva fatto una serie di approfondimenti su possibili attacchi via web, non rivelando però alcun elemento concreto".

Immagine in anteprima via shepetivka.com.ua.